Hash-generator

Alla fyra är kryptografiska hashfunktioner som producerar ett fingeravtryck med fast längd från valfri inmatning, men de skiljer sig i säkerhet och utdatastorlek. MD5 (128-bit) och SHA-1 (160-bit) anses brutna — kollisionsattacker har demonstrerats och de bör inte användas för säkerhetsändamål. SHA-256 (256-bit) är nuvarande internetstandard, använd i TLS, JWT-signering och de flesta lösenordshashningsscheman. SHA-512 (512-bit) ger extra säkerhetsmarginal för högt värderade mål som finansiella APIer och statliga system.

Ja — detta kallas en kollision. Varje hashfunktion kan teoretiskt producera identisk utdata för olika inmatningar, eftersom utdatan är kortare än inmatningen. En bra hashfunktion gör det dock beräkningsmässigt omöjligt att avsiktligt hitta en sådan kollision. MD5 och SHA-1 är brutna just för att forskare hittade effektiva sätt att konstruera kollisioner. SHA-256 och SHA-512 har inga kända praktiska kollisionsattacker.

Nej — varken MD5 eller SHA-256 (eller SHA-512) ensamt är säkert för lösenordslagring. Rå hashfunktioner är designade för att vara snabba, vilket är precis vad angripare utnyttjar: moderna GPU:er kan beräkna miljarder MD5-hashar per sekund. För lösenord måste du använda en specialbyggd, avsiktligt långsam algoritm: bcrypt, scrypt, Argon2id eller PBKDF2. Använd detta verktyg för kontrollsummor och API-signering — inte för att lagra användarlösenord.

HMAC (Hash-based Message Authentication Code) kombinerar en hashfunktion med en hemlig nyckel för att producera en autentiseringstagg. Där en vanlig hash verifierar dataintegritet (den har inte ändrats), verifierar HMAC också autenticitet (den kom från någon som besitter den hemliga nyckeln). HMAC-SHA-256 är standarden för API-förfrågningssignering — används av AWS Signature v4, Stripe, Shopify och praktiskt taget alla betalningsgateways. För att beräkna HMAC behöver du en nyckel, så detta verktyg (som utför nyckelløs hashning) kan inte generera HMAC-taggar.